Cennik GitHub Advanced Security i miejsce dla CRACI

Krótka odpowiedź

Według stanu na wrzesień 2026 GitHub sprzedaje GitHub Advanced Security jako dwa dodatki. GitHub Secret Protection kosztuje $19 za aktywnego committera miesięcznie i obejmuje skanowanie sekretów oraz push protection. GitHub Code Security kosztuje $30 za aktywnego committera miesięcznie i obejmuje skanowanie kodu CodeQL, Copilot Autofix, dependency review i funkcje premium Dependabot. Zakup obu to $49 za aktywnego committera miesięcznie. Oba wymagają planu GitHub Team lub Enterprise i płaci się za nie oprócz stanowisk GitHub.

Aktywny committer to każda osoba, której commit został w ciągu ostatnich 90 dni wypchnięty do repozytorium z włączonym produktem, liczona raz w całej organizacji. Dlatego rachunek zależy od tego, kto wypycha kod, a nie od liczby stanowisk.

Cennik GitHub Advanced Security w skrócie

Ceny to ceny katalogowe GitHub i Azure według stanu na wrzesień 2026. Strona planów GitHub wymienia funkcje dodawane przez każdy dodatek w planach Team i Enterprise; kolumna bezpłatna dotyczy repozytoriów publicznych na GitHub.com.

Jak liczony jest rachunek

• Za aktywnego committera, za produkt. Committer jest aktywny, jeśli jeden z jego commitów został w ciągu ostatnich 90 dni wypchnięty do repozytorium z włączonym produktem, niezależnie od tego, kiedy powstał. Każda osoba zużywa jedną licencję w całej organizacji lub przedsiębiorstwie, bez względu na liczbę repozytoriów.
• Liczą się tylko repozytoria z włączonym produktem. Secret Protection i Code Security włącza się niezależnie, więc można włączyć Secret Protection wszędzie, a Code Security tylko tam, gdzie jest potrzebne.
• Rozliczanie według użycia lub wolumenowe w planie Enterprise. Rozliczanie według użycia, w GitHub Enterprise Cloud oraz GitHub Enterprise Server 3.13 lub nowszym z GitHub Connect, nalicza co miesiąc opłaty za wykorzystane licencje, bez ustalonego limitu i bez stanu przekroczenia. Rozliczanie wolumenowe lub subskrypcyjne to zakup stałej liczby licencji na określony okres, zwykle co najmniej rok.
• Bezpłatne oceny ryzyka. Organizacje w planach Team i Enterprise Cloud mogą przed zakupem przeprowadzić bezpłatną ocenę ryzyka sekretów oraz ocenę ryzyka bezpieczeństwa kodu w maksymalnie 20 aktywnych repozytoriach.

Przykład obliczeń

Zespół 50 programistów, z których wszyscy wypychają kod do repozytoriów z obydwoma produktami, płaci 50 × $19 = $950 za Secret Protection i 50 × $30 = $1,500 za Code Security: $2,450 miesięcznie, czyli $29,400 rocznie, według cen katalogowych. To oprócz stanowisk GitHub Team lub Enterprise i minut GitHub Actions. Liczy się każda osoba z licencją w Państwa organizacji, która wypycha kod do repozytorium z włączonym produktem, także wykonawcy zewnętrzni, dlatego należy liczyć committerów, a nie pracowników.

Co otrzymują Państwo bez płacenia

Graf zależności i alerty Dependabot są częścią wszystkich planów GitHub. W repozytoriach publicznych skanowanie kodu, skanowanie sekretów, push protection i dependency review są bezpłatne. Jeśli Państwa kod jest open source, znaczna część GitHub Advanced Security nic nie kosztuje.

GitHub Advanced Security for Azure DevOps

Te same dwa produkty są sprzedawane dla Azure Repos, według cennika Azure: $19 za committera miesięcznie za Secret Protection i $30 za Code Security. Opłaty naliczane są codziennie i rozliczane co miesiąc w subskrypcji Azure połączonej z organizacją Azure DevOps, a committerzy są liczeni raz na produkt w ramach tej subskrypcji.

Co GitHub Advanced Security robi dobrze

Skanowanie kodu CodeQL to semantyczna analiza statyczna wbudowana w pull requesty, a Copilot Autofix proponuje poprawki dla zgłaszanych alertów. Skanowanie sekretów obejmuje historię git, pull requesty, issues i wiki, a push protection blokuje sekret, zanim trafi do repozytorium. Kontrole ważności informują, czy wyciekłe poświadczenie nadal działa. CRACI nie robi nic z tych rzeczy i nic na tej stronie nie sugeruje zastępowania tych funkcji.

W zakresie zależności graf zależności analizuje manifesty i lockfile w repozytorium, a Dependabot powiadamia, gdy któryś z nich pasuje do biuletynu w GitHub Advisory Database. Aktualizacje bezpieczeństwa próbują otworzyć pull request dla każdego otwartego alertu, dla którego istnieje poprawka, a dependency review (część Code Security) pokazuje, co pull request zmienia przed scaleniem. Automatic dependency submission może dodać dane o zależnościach rozwiązanych w buildzie dla Maven, Gradle i Python. Graf można eksportować jako SBOM SPDX z interfejsu lub przez REST API.

Artifact attestations używają Sigstore do podpisywania danych o pochodzeniu buildu dla plików binarnych i obrazów kontenerów, a także mogą poświadczać SBOM-y w formacie SPDX lub CycloneDX. GitHub dokumentuje, że same atestacje zapewniają SLSA v1.0 Build Level 2, a Level 3 z reusable workflows.

Czego nie obejmuje cena

Każda funkcja GitHub Advanced Security odczytuje Państwa repozytorium: kod, sekrety i zadeklarowane zależności. Żadna z nich nie rejestruje tego, co dzieje się w buildzie tworzącym wydanie, ani nie kontroluje, do czego ten build ma dostęp w sieci. Tu właśnie jest miejsce dla CRACI.

Tabela łączy GitHub Advanced Security z funkcjami platformy GitHub, na których się opiera (graf zależności, Dependabot, artifact attestations i runnery hostowane), ponieważ tak postrzegają je zespoły.

Zapis buildu, a nie repozytorium

Graf zależności opisuje repozytorium i aktualizuje się, gdy commit zmienia manifest lub lockfile w domyślnej gałęzi. To przydatne, ale nie jest tym samym co zapis zadania, które wytworzyło wydanie. CRACI obserwuje sam build: proxy rozpoznające pakiety widzi ruch do źródeł pakietów npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git. Dowody przemieszczają się razem z cache CI, a każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Kontrola nad tym, do czego zadanie ma dostęp

CRACI egzekwuje politykę ruchu wychodzącego dla każdego zadania: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi dla rejestrów i Git. Polityki są walidowane przed startem zadania i blokują w razie błędu, a CRACI wysyła alert przy naruszeniu polityki. To kontrola buildu w czasie działania, której skanowanie repozytorium nie może zapewnić.

Dane o pochodzeniu

Artifact attestations GitHub to krok workflow, który dodają Państwo samodzielnie. Podpisują dane o pochodzeniu buildu, a GitHub dokumentuje dla nich SLSA v1.0 Build Level 2. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA: API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. Jeśli potrzebują Państwo podpisanych danych o pochodzeniu lub udokumentowanego poziomu SLSA, zapewniają je atestacje GitHub.

Monitorowanie tego, co dostarczono

CRACI agreguje podatności z buildów i repozytoriów, na bieżąco ponownie ocenia monitorowane SBOM-y i pozwala zespołom bezpieczeństwa wykonywać triage znalezisk oraz przekazywać je zespołom odpowiedzialnym za poprawkę. Widok inwentarza pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. SBOM-y eksportuje się jako CycloneDX lub SPDX, łącznie z podatnościami, a API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu.

Inny model cenowy

GitHub Advanced Security jest wyceniany za aktywnego committera. CRACI jest wyceniany tylko za minutę buildu, ponieważ to on jest runnerem: $0.002 za minutę vCPU ($0.004 za domyślny runner 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej. Te minuty wykonują zadania, które w przeciwnym razie działałyby na runnerach hostowanych przez GitHub. Aktualne warunki znajdą Państwo w cenniku CRACI.

Jak to się uzupełnia

• GitHub Advanced Security w każdym pull requeście: CodeQL, skanowanie sekretów, push protection i dependency review.
• Dependabot utrzymujący aktualność zadeklarowanych zależności.
• CRACI jako runner: rejestruje każdy build, egzekwuje politykę ruchu wychodzącego i przechowuje dowody.

Uruchomienia w CRACI nadal są widoczne w interfejsie GitHub, a workflow zachowują swoje kroki; zadanie przenosi się do CRACI przez zmianę etykiety runs-on. Zadania Windows i macOS należy pozostawić na runnerach hostowanych przez GitHub: CRACI obsługuje dziś tylko Linuksa, na x86-64 i ARM64, a Windows i macOS są w planach rozwoju.

Porównują Państwo raczej skanery kodu? Zob. alternatywy dla GitHub Advanced Security wraz z cenami.

Na potrzeby Cyber Resilience Act

Narzędzia GitHub pomagają znajdować i naprawiać podatności przed wydaniem, co producent musi robić. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA: co trafiło do każdego wydania, SBOM-y, ślady sieciowe i dane o pochodzeniu zwracane przez API oraz bieżące śledzenie podatności. Żadne z nich samo nie czyni produktu zgodnym. Zob. czym jest CRA oraz dowody dla CRA.

Więcej o integracji CI/CD i generowaniu SBOM w czasie buildu. Mogą też Państwo umówić demo, aby zobaczyć zapis buildu CRACI obok swojego grafu zależności.

Cennik GitHub Advanced Security: pytania

Ile kosztuje GitHub Advanced Security?

Według stanu na wrzesień 2026 GitHub sprzedaje Advanced Security jako dwa dodatki: GitHub Secret Protection za $19 i GitHub Code Security za $30 za aktywnego committera miesięcznie, czyli $49 za aktywnego committera za oba. Kupuje się je oprócz planu GitHub Team lub Enterprise.

Kto jest aktywnym committerem?

Osoba z licencją GitHub Team lub Enterprise w Państwa organizacji, której commit został w ciągu ostatnich 90 dni wypchnięty do repozytorium z włączonym Secret Protection lub Code Security, niezależnie od tego, kiedy commit powstał. Każda osoba zużywa jedną licencję w całej organizacji lub przedsiębiorstwie, bez względu na liczbę repozytoriów, w których uczestniczy.

Czy GitHub Advanced Security jest bezpłatny dla repozytoriów publicznych?

Częściowo. W repozytoriach publicznych GitHub domyślnie włącza skanowanie kodu, skanowanie sekretów i push protection, a dependency review także jest bezpłatne. Repozytoria prywatne potrzebują płatnych dodatków. Graf zależności i alerty Dependabot są częścią każdego planu GitHub.

Czy można kupić GitHub Advanced Security w planie GitHub Free lub Pro?

Nie. GitHub Secret Protection i GitHub Code Security wymagają planu GitHub Team lub GitHub Enterprise. Organizacje w planach Team i Enterprise Cloud mogą też najpierw przeprowadzić bezpłatną ocenę ryzyka sekretów i bezpieczeństwa kodu.

Jak rozliczany jest GitHub Advanced Security w planie Enterprise?

Na dwa sposoby. Rozliczanie według użycia, w GitHub Enterprise Cloud oraz GitHub Enterprise Server 3.13 lub nowszym z GitHub Connect, nalicza co miesiąc opłaty za licencje wykorzystane przez aktywnych committerów, bez ustalonego limitu. Rozliczanie wolumenowe lub subskrypcyjne to zakup stałej liczby licencji na określony okres, zwykle co najmniej rok.

Ile kosztuje GitHub Advanced Security w Azure DevOps?

GitHub Advanced Security for Azure DevOps działa z Azure Repos. Azure podaje dla Secret Protection cenę $19, a dla Code Security $30 za committera miesięcznie, naliczane codziennie i rozliczane co miesiąc w subskrypcji Azure połączonej z organizacją Azure DevOps. Committerzy są liczeni raz na produkt w ramach tej subskrypcji.

Czy GitHub Advanced Security obejmuje SBOM?

GitHub może eksportować graf zależności repozytorium jako SBOM w formacie SPDX, a graf zależności jest częścią każdego planu. Taki SBOM opisuje manifesty i lockfile w domyślnej gałęzi, a nie konkretny build. CRACI rejestruje pakiety faktycznie pobrane przez każdy build i eksportuje CycloneDX oraz SPDX dla każdego buildu.

Czy CRACI zastępuje GitHub Advanced Security?

Nie. CRACI nie skanuje kodu ani sekretów. CRACI zastępuje runner, na którym działają Państwa zadania GitHub Actions, oraz rejestruje i kontroluje to, co robi każdy build. Zespoły korzystające z GitHub zwykle zachowują Secret Protection i Code Security dla swoich repozytoriów, a CRACI dodają dla dowodów z buildu.